个人信息保护法来了！国家出手严控“大数据杀熟”

    近年来，应用程序过度收集个人信息、“大数据杀熟”以及非法买卖、泄露个人信息等行为屡禁不止。

    十三届全国人大常委会第三十次会议20日表决通过《中华人民共和国个人信息保护法》，自2021年11月1日起施行。这部专门法律充分回应了社会关切，为破解个人信息保护中的热点难点问题提供了强有力的法律保障。

    01

    筑牢个人信息防火墙

    如今，每个人的生活都与互联网息息相关，互联网及其衍生品影响人们的衣、食、住、行。网络订餐、平台购物、线上办公、网络约车等让我们享受便利，但如何保护个人信息已成为社会关注的热点问题。

    应用程序不仅收集用户的使用数据，收集的信息还可能包括了姓名、性别、手机号、地址、职业等敏感的个人信息，这些信息如被盗用、滥用，将对公民的人身、财产安全及正常工作生活造成严重威胁。

    为加强公民个人信息保护，回应社会关切，我国已采取了多项积极举措。例如《中华人民共和国民法典》人格权编中加大了对公民隐私权的保护力度，特别是构筑了个人信息保护的“防火墙”，在《刑法修正案》中明确了对侵害个人信息的惩治。

    北京市信凯律师事务所执业律师、高级合伙人、商事法律部主任刘兴盛介绍，《个人信息保护法》对民众关注的诸多热点问题进行了回应，例如对“大数据杀熟”做了针对性的规定。此外，明确将未成年人个人信息作为敏感个人信息予以严格保护，增加个人信息可携带权的规定。

    02

    新老用户差别对待“看人报价”

    生活中，商场、超市等购物场所通常会统一定价，即使在价格浮动的菜市场，大多数商户也会为了建立良好的口碑而公平定价，很少会出现“看人报价”的情况。但在信息时代，网络交易的隐蔽性给“看人报价”提供了便利条件。

    一些平台为了吸引更多用户，用优惠政策吸引新客户注册并使用软件，给予新用户的优惠力度会大于原有用户。如外卖软件用优惠券吸引用户注册，新用户和老客户在同一商户点同样的餐，新用户在更大的优惠力度加使用优惠券后比老用户要便宜很多。这既是所谓的“大数据杀熟”。

    记者发现很多电商平台在新用户使用应用程序时会跳出弹窗，提醒用户“获得价值XX金额大礼包”，用户在点击领取后即可引导其购物，此外，一些电商平台还设置例如“新人1元购”“新手秒杀”等新用户专区，并限制老用户消费，对新老客户进行区别对待。

    随着用户使用应用程序频率增加，用户的浏览记录、购买记录等被应用程序进行统计分析，并根据用户的消费习惯、兴趣爱好、购买力等进行有针对性的信息推送和商业营销。

    03

    国家出手！治理“大数据杀熟”

    现实中，一些企业利用大数据搞“小动作”的事情屡见不鲜，“大数据杀熟”事件频发。

    今年7月，浙江省绍兴市柯桥区人民法院审理了胡女士诉上海携程商务有限公司侵权纠纷一案。据了解，胡女士是该平台的钻石贵宾客户，胡女士通过携程APP订购了某酒店房间，但胡女士在退房时，发现她所支付的2889元价款要比酒店挂牌价1377.63元高了一倍，胡女士因此将该平台诉至法院，亦对平台不合理收集其个人信息进行了索赔。

    生活中，“大数据杀熟”被曝光的案例数不胜数，针对这一问题，《个人信息保护法》特别对“大数据杀熟”中存在的价格歧视进行了规定，“利用个人信息进行自动化决策时，不得对个人在交易价格等交易条件上实行不合理的差别待遇”。

    在司法实践中，个人针对“大数据杀熟”通过法律手段来维护自身合法权益的案例非常少。工作中，刘兴盛不时会遇到咨询此类案件的客户，但像胡女士这样，用法律来维护个人权益的案例并不多，“大多数人会因诉讼成本的考虑选择息事宁人。最多也就是联系客服退差价，在社交媒体上曝光。”刘兴盛认为，《个人信息保护法》通过，会使消费者通过法律维权的难度降低，更有利于个人合法权益的保护。

    04

    纠偏自律利于企业发展

    在刘兴盛看来，对涉及个人信息处理的企业来说，纠偏和自律则十分必要，企业合规将为企业带来很多好处，对于合规的企业，国家和政府采取正向激励政策。今年4月，最高人民检察院发布《关于开展企业合规改革试点工作的方案》规定，在刑事调查环节对合规的企业给予宽大的刑事处理。

    但对上述在线旅游平台这种不良企业，国家会采取更为严格的监管力度和惩罚手段。从行政层面，政府各部门会对不合规企业进行约谈，如果未按要求完成整改，将被下架。从司法层面，对未取得消费者同意的情况下，非法收集，出售公民姓名、身份证号、手机号等个人信息的，可能会触犯刑法中的侵犯公民个人信息罪。

    刘兴盛建议，企业要对其关于个人信息的处理是否符合法律法规、监管规定和行业准则等方面是否合规进行法律评估。

    05

    严格保护未成年人个人信息

    《个人信息保护法》的另一亮点是在个人信息处理上强调对特定弱势群体的保护。

    随着触网年龄越来越小，未成年人个人信息保护备受关注，刘兴盛表示，未成年人其心智尚未成熟，个人信息保护意识淡薄，极易受网上不良信息的影响。

    为保障未成年人的合法权益，明确将不满十四周岁未成年人的个人信息作为敏感个人信息，并要求个人信息处理者对此制定专门的个人信息处理规则。

    新修订的《中华人民共和国未成年人保护法》添加了网络保护的新的篇章，对不满14周岁的未成年人的个人信息进行处理时要经过其监护人的同意。《个人信息保护法》不仅延续了上述规定，而且将不满14周岁未成年人的个人信息作为敏感个人信息，并要求个人信息处理者对此制定专门的个人信息处理规则。

    06

    增加个人信息可携带权

    为方便用户获取并转移其个人信息，《个人信息保护法》借鉴有关国家和地区的立法，增加个人信息可携带权的规定。

    数据可携带权是指“数据主体有权获得其已向数据控制者提供的个人数据，并有权不受限制地将这些数据转移给其他数据控制者”。

    刘兴盛介绍，数据可携带权即用户把自己在某平台的个人数据转移到另一个平台。“简单地说，就是将个人信息‘一键转移’，这将为用户获取和转移其个人信息数据提供便利。”

    此外，《个人信息保护法》增加了“个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径”。

    简而言之，我们可以自由决定把一个应用或网站上的个人信息转移到另一平台，该应用或网站有配合的义务，并提供可用的转移途径。

    刘兴盛预测，个人信息可携带权的规定有利于打破数据领域的垄断以及数据孤岛局面，也对互联网公司的技术能力提出了很高要求，可能会给互联网行业带来改变。